# Bewerberdaten und DSGVO: Rechtsgrundlage, Löschfrist, Pool

> Bewerberdaten darfst du verarbeiten, soweit sie für die Entscheidung über die Einstellung nötig sind. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil § 26 Abs. 1 BDSG nach einem EuGH-Urteil von 2023 als unsicher gilt. Abgelehnte Bewerbungen löschst du in der Regel spätestens sechs Monate nach der Absage. Längere Speicherung im Talent-Pool braucht eine Einwilligung.

- URL: https://personaloptimierer.de/recht-und-mitbestimmung/bewerberdaten-dsgvo/
- Sprache: de
- Aktualisiert: 2026-10-19
- Herausgeber: Personaloptimierer (OnlineBuilders LLC, https://onlinebuilders.biz)

Am 30. März 2023 hat der Europäische Gerichtshof ein Urteil zum hessischen Datenschutzgesetz gefällt, das mit Bewerbungen auf den ersten Blick wenig zu tun hatte. Es ging um Livestream-Unterricht an Schulen. Geprüft wurde aber eine Vorschrift, die wortgleich mit § 26 Abs. 1 Satz 1 BDSG ist, der zentralen Norm für Beschäftigtendaten in Deutschland. Das Ergebnis (C-34/21): Eine solche Regel, die nur wiederholt, was die DSGVO ohnehin sagt, ist keine wirksame spezifische Vorschrift im Sinne von Art. 88 DSGVO.

Seitdem steht die wichtigste deutsche Rechtsgrundlage für Bewerberdaten auf wackligen Beinen. Für die Praxis ist das weniger dramatisch, als es klingt. Man muss nur wissen, worauf man sich stattdessen stützt.

## Auf welcher Rechtsgrundlage du Bewerberdaten verarbeitest

Bewerber gelten nach § 26 Abs. 8 BDSG als Beschäftigte. Die Vorschrift steht nach wie vor im Gesetz. Nach herrschender Meinung ist ihr Absatz 1 Satz 1 aber seit dem EuGH-Urteil nicht mehr anwendbar. Ein eigenes Beschäftigtendatenschutzgesetz, das die Lücke schließen sollte, war 2024 als Referentenentwurf vorgelegt worden und kam über dieses Stadium nicht hinaus. Stand Oktober 2026 gibt es kein neues Gesetz.

Die Lösung liegt in der DSGVO selbst. Art. 6 Abs. 1 lit. b erlaubt die Verarbeitung, wenn sie zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, die auf Anfrage der betroffenen Person erfolgen. Eine Bewerbung ist genau das. Für die Aufbewahrung nach der Absage kommt Art. 6 Abs. 1 lit. f in Betracht: das berechtigte Interesse, sich gegen mögliche AGG-Ansprüche verteidigen zu können.

**Rechtsgrundlagen im Bewerbungsverfahren**

| | Rechtsgrundlage | Einwilligung nötig |
|---|---|---|
| Sichtung und Auswahl | Art. 6 Abs. 1 lit. b DSGVO | nein |
| Aufbewahrung nach Absage bis ca. 6 Monate | Art. 6 Abs. 1 lit. f DSGVO | nein |
| Talent-Pool für spätere Stellen | Art. 6 Abs. 1 lit. a DSGVO | ja |
| Gesundheitsangaben, Schwerbehinderung | Art. 9 Abs. 2 lit. b DSGVO | nein, aber eng begrenzt |
| Weitergabe an andere Konzernfirmen | meist Art. 6 Abs. 1 lit. a | ja |

Erforderlich heißt erforderlich. Was du für die Entscheidung über eine Stelle in der Buchhaltung brauchst, sind Ausbildung, Berufserfahrung, Kenntnisse. Nicht nötig sind Familienstand, Religion, Foto oder Geburtsort. Wenn Bewerber solche Angaben trotzdem machen, ist das ihr gutes Recht. Du solltest sie aber nicht im Formular abfragen.

## Warum sechs Monate die übliche Löschfrist sind

Die DSGVO nennt keine konkrete Frist. Sie verlangt, dass Daten nur so lange gespeichert werden, wie es für den Zweck nötig ist (Art. 5 Abs. 1 lit. e). Ist die Stelle besetzt, ist der Zweck erreicht. Es bleibt nur das Interesse, sich gegen Ansprüche verteidigen zu können.

Und hier kommen die Fristen des AGG ins Spiel. Wer sich benachteiligt fühlt, muss den Anspruch innerhalb von zwei Monaten nach Zugang der Absage schriftlich geltend machen (§ 15 Abs. 4 AGG). Danach bleiben drei Monate für die Klage (§ 61b ArbGG).

**Wie sich die sechs Monate zusammensetzen**

- Frist zur schriftlichen Geltendmachung: 2 Monate
- Frist zur Klageerhebung danach: 3 Monate
- Puffer für Postlauf und Zustellung der Klage: rund 1 Monat
- **Übliche Höchstdauer nach Absage: rund 6 Monate**

Quelle: § 15 Abs. 4 AGG, § 61b Abs. 1 ArbGG; Praxis der Datenschutzaufsichtsbehörden

Aufsichtsbehörden halten bis zu sechs Monate für vertretbar, die Berliner Datenschutzbeauftragte etwa in ihrem Jahresbericht 2022. Kürzere Fristen sind natürlich zulässig. Wer schneller löscht, ist auf der sicheren Seite, solange die AGG-Frist von zwei Monaten abgelaufen ist und keine Geltendmachung vorliegt. Ist eine Klage anhängig, dürfen die Unterlagen bis zum Ende des Verfahrens bleiben.

Die Frist beginnt mit dem Abschluss des Verfahrens, also mit der Absage. Daraus folgt eine unbequeme Wahrheit: Wer Bewerber nicht absagt, sondern einfach nicht mehr meldet, hat keinen klaren Fristbeginn. Mehr zu sauberen Absagen steht im Beitrag [Absage an Bewerber formulieren](https://personaloptimierer.de/recruiting/absage-bewerber-formulieren/).

## Talent-Pool: nur mit Einwilligung

Den Wunsch, gute Bewerber für später vorzuhalten, kennt jeder Recruiter. Rechtlich geht das nur mit Einwilligung. Sie muss freiwillig, informiert und nachweisbar sein (Art. 7 DSGVO). Ein vorausgefülltes Häkchen reicht nicht. Und sie muss jederzeit widerrufbar sein.

Wie lange darf der Pool die Daten halten? Auch hier gibt es keine gesetzliche Zahl. Ein bis zwei Jahre sind in der Praxis verbreitet und gut begründbar. Wichtig ist, dass die Dauer in der Einwilligung steht und das System nach Ablauf löscht oder neu fragt. Laut einer im September 2026 veröffentlichten Bitkom-Umfrage boten 73 Prozent der befragten Unternehmen Bewerbern die Aufnahme in einen Pool für andere Stellen an. Wie viele davon eine saubere Einwilligung einholen, weiß niemand.

## Was Bewerber verlangen können

Bewerber haben dieselben Rechte wie jede andere betroffene Person. In der Praxis spielen zwei eine Rolle.

Das Auskunftsrecht nach Art. 15 DSGVO umfasst alle gespeicherten Daten, inklusive interner Bewertungen und Gesprächsnotizen. Die Antwort ist innerhalb eines Monats fällig. Manche abgelehnten Bewerber nutzen das Auskunftsrecht, um Material für eine AGG-Klage zu sammeln. Das ist legitim. Umso wichtiger ist, dass Notizen sachlich sind und an die Anforderungen der Stelle anknüpfen.

Das Recht auf Löschung nach Art. 17 DSGVO ist eingeschränkt, solange die Aufbewahrung zur Verteidigung gegen Ansprüche nötig ist. Verlangt ein Bewerber die sofortige Löschung, kannst du nach Ablauf der zwei Monate aus § 15 Abs. 4 AGG meist löschen, wenn er keine Ansprüche geltend gemacht hat.

## Referenzen, Initiativbewerbungen und Online-Recherche

Drei Situationen tauchen im Alltag immer wieder auf und werden selten sauber gelöst.

Referenzen beim früheren Arbeitgeber einzuholen, ist ohne Zustimmung des Bewerbers kaum zu rechtfertigen. Die Erhebung bei Dritten ist nicht erforderlich, wenn der Bewerber Zeugnisse vorlegen kann, und sie kann ihm schaden, etwa wenn der aktuelle Arbeitgeber noch nichts von der Bewerbung weiß. Frag also vorher und notiere die Zustimmung.

Initiativbewerbungen haben keinen klaren Endpunkt, weil es keine Stelle gibt, die besetzt wird. Antworte zeitnah, ob eine passende Stelle frei ist. Wenn nicht, ist das eine Absage, mit der die übliche Frist beginnt. Willst du die Bewerbung für später behalten, gilt dasselbe wie beim Talent-Pool: nur mit Einwilligung.

Bei der Online-Recherche ist die Grenze das Berufliche. Ein öffentliches Profil in einem Karrierenetzwerk ist dafür gedacht, von potenziellen Arbeitgebern gesehen zu werden. Ein privates Profil mit Urlaubsfotos ist es nicht. Was du recherchierst, sollte in der Datenschutzerklärung für Bewerber stehen.

## Technische und organisatorische Pflichten

Eine Bewerbermanagement-Software ist in der Regel ein Auftragsverarbeiter. Du brauchst also einen Vertrag nach Art. 28 DSGVO mit dem Anbieter und eine Liste seiner Unterauftragnehmer. Bei Anbietern außerhalb der EU kommt die Frage nach der Drittlandübermittlung hinzu.

**Datenschutz im Bewerbungsprozess: die Mindestausstattung**

- [ ] Bewerber-Datenschutzerklärung nach Art. 13 DSGVO, verlinkt am Formular
- [ ] Formular fragt nur ab, was für die Stelle nötig ist
- [ ] Auftragsverarbeitungsvertrag mit dem Software-Anbieter
- [ ] Zugriff nur für Personen, die an der Auswahl beteiligt sind
- [ ] Automatische Löschung nach höchstens sechs Monaten
- [ ] Einwilligungsprozess für den Talent-Pool mit Protokoll
- [ ] Eintrag im Verzeichnis der Verarbeitungstätigkeiten
- [ ] Keine Bewerbungen in privaten Postfächern oder auf USB-Sticks

Der letzte Punkt klingt selbstverständlich. Er ist es nicht. Bewerbungen, die an Führungskräfte weitergeleitet und dort in Postfächern vergessen werden, sind einer der häufigsten Datenschutzmängel in kleinen Betrieben. Ein Bewerbermanagement-System löst das, weil alle im selben System arbeiten und die Löschung zentral greift. Wie du eines auswählst, steht im Beitrag zur [Bewerbermanagement-Software](https://personaloptimierer.de/recruiting/bewerbermanagement-software/).

Setzt du KI für die Vorauswahl ein, kommen Art. 22 DSGVO und eine Datenschutz-Folgenabschätzung hinzu. Das ist im Beitrag [KI im Recruiting](https://personaloptimierer.de/recruiting/ki-im-recruiting/) beschrieben. Wer Bewerberdaten in eigenen Systemen verarbeitet und dabei Sicherheit und Löschkonzept von Grund auf sauber haben will, kann sich bei [OnlineBuilders](https://onlinebuilders.biz/solutions/cyber-security) technisch beraten lassen.

Dein nächster Schritt: Öffne dein Bewerbungspostfach oder dein System und zähle alle abgelehnten Bewerbungen, deren Absage länger als sechs Monate zurückliegt. Lösche sie und stelle sicher, dass das künftig automatisch passiert.

## Häufige Fragen

### Wie lange darf ich Bewerbungsunterlagen aufbewahren?

Üblich und von Aufsichtsbehörden als vertretbar angesehen sind bis zu sechs Monate nach Abschluss des Verfahrens. Der Zeitraum ergibt sich aus den Fristen für AGG-Ansprüche plus einem Puffer. Bei einer laufenden Klage dürfen die Unterlagen bis zum Ende des Verfahrens bleiben.

### Darf ich Bewerber googeln oder ihr LinkedIn-Profil ansehen?

Berufliche Netzwerke, die für die Präsentation im Arbeitsleben gedacht sind, gelten überwiegend als zulässig, wenn ein Bezug zur Stelle besteht. Private Profile in sozialen Netzwerken sind tabu. Informiere Bewerber in der Datenschutzerklärung, wenn du öffentliche berufliche Profile einbeziehst.

### Muss ich Bewerbern Datenschutzhinweise geben?

Ja, zum Zeitpunkt der Erhebung (Art. 13 DSGVO). Bei Online-Formularen gehört ein Link zur Bewerber-Datenschutzerklärung direkt an das Formular. Bei Bewerbungen per E-Mail genügt der Hinweis in der Eingangsbestätigung.

### Was tun, wenn ein Bewerber Auskunft verlangt?

Du hast einen Monat Zeit (Art. 12 Abs. 3 DSGVO). Herauszugeben sind alle gespeicherten Daten, auch Notizen aus dem Vorstellungsgespräch und interne Bewertungen. Schreib solche Notizen deshalb so, dass du sie dem Bewerber zeigen könntest.

Foto: Manuel Schmalstieg, CC BY 4.0 (https://commons.wikimedia.org/wiki/File:Small_paper_shredder.JPG)